問87
頻出度★★★
攻撃者が，システムの利用者になりすましてシステム管理者に電話をかけ，パスワードを忘れたと言ってパスワードを初期化してもらい，システムに侵入した。このような行為を何というか。
平成22年度 春期 ITパスポート試験 問87
テクノロジ系セキュリティ › 情報セキュリティ
这道题的解析和你的作答记录。
解説
問 87
错误ア
DoS 攻击 (Denial of Service，拒绝服务) 是指向服务器发送大量请求或非法数据包以加重其负载，使服务停止或受到妨碍的攻击。其目的是剥夺服务的可用性，而不是像本题这样获取密码并侵入系统。
错误イ
暴力破解攻击 (穷举攻击) 是机械地逐一尝试所有可能的密码组合、从而找出正确密码的技术性攻击。本题的攻击者并没有尝试密码，而是让管理员初始化后直接拿到了密码，因此不符合。
- ウ
正解 社会工程学是指不利用计算机或网络的技术性弱点，而是钻人的心理空子或组织业务流程的松懈之处，非法获取密码等重要信息或权限的行为的总称。本题中攻击者 (1) 冒充正规用户打电话，(2) 用「忘记了密码」这一自然的借口利用管理员的善意，(3) 在身份核验不充分的情况下让对方初始化密码，从而拿到了密码。既没有分析程序，也没有破解加密，打交道的只有「人」，这一点是判断的关键。因此正确答案是 ウ 社会工程学。另外，对策也不在技术层面而在运行管理层面，不允许通过电话初始化密码、制定身份核验流程等规则建设与员工教育是有效的。
错误エ
后门是指入侵成功的攻击者等为了以后不经过正规认证也能再次侵入，而事先在系统中设置好的后门 (非法入口)。本题的手法是通过电话骗取信息，并不是在系统中设置非法入口。
ここがポイント
- 社会工程学 = 不靠技术，而是钻「人」的空子 (冒充身份打电话、从背后偷看屏幕、翻垃圾箱等) 来窃取信息的手法。对策以运行管理层面为主，如彻底执行身份核验流程和开展员工教育。
- 攻击手法按「攻击的是什么」来梳理。DoS 攻击 = 针对可用性的负载攻击，暴力破解攻击 = 机械地逐一尝试密码，后门 = 为再次侵入而预留的非法入口。只有本题这种欺骗人的手法属于另一个类别。
用語